# EU NIS2-Richtlinie für Cyber-Sicherheit > Swiss GRC stellt auf dieser Seite die EU-Richtlinie NIS2 (2022/2555) vor und zeigt, wie die SwissGRC® Plattform Unternehmen bei Betroffenheitsprüfung, zehn Mindestmassnahmen, Meldepflichten und Nachweisen unterstützt. Die Seite richtet sich an Unternehmen im DACH-Raum. - URL: https://swissgrc.com/eu-nis2-richtlinie-fuer-cyber-sicherheit/ - Herausgeber: SwissGRC® - Veröffentlicht: 2024-06-20 - Zuletzt aktualisiert: 2026-10-07 ## Kernaussagen - Die EU-Richtlinie 2022/2555 (NIS2) schreibt jeder betroffenen Einrichtung nach Art. 21 Abs. 2 zehn Mindestmassnahmen vor, von der Risikoanalyse bis zur Multi-Faktor-Authentifizierung. - Erhebliche Vorfälle sind nach Art. 23 dreistufig zu melden: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden und Abschlussbericht spätestens einen Monat nach der Frühwarnung. - NIS2 erfasst grundsätzlich mittlere und grosse Unternehmen ab 50 Mitarbeitenden oder über 10 Mio. EUR Umsatz in den 18 Sektoren der Anhänge I und II. - In der Schweiz gilt seit dem 01.04.2025 eine Meldepflicht nach ISG: Cyberangriffe auf kritische Infrastrukturen sind innerhalb von 24 Stunden dem BACS zu melden. - In Österreich treten die Pflichten des NISG 2026 am 01.10.2026 in Kraft, in Deutschland gilt das NIS2-Umsetzungsgesetz seit dem 06.12.2025. - Die SwissGRC® Plattform protokolliert jede Änderung an Nachweisen mit Nutzer und Zeitstempel und bewahrt alle Versionen auf. EU-Richtlinie 2022/2555 · NIS2 # NIS2-Compliance, die Sie nachweisen können. Von der Betroffenheitsanalyse über die zehn Mindestmassnahmen bis zum Bericht an die Aufsicht: Die SwissGRC® Plattform macht Ihre NIS2-Umsetzung strukturiert, nachvollziehbar und prüfungssicher. Betroffenheit prüfen Demo anfordern Betroffenheits-Check ## Fällt Ihr Unternehmen unter NIS2? Drei Angaben genügen für eine strukturierte Ersteinschätzung: Standort, Sektor und Unternehmensgrösse. Direkt hier, ohne Formular. 1 · Standort 2 · Sektor 3 · Grösse Ergebnis Wo ist Ihr Unternehmen hauptsächlich tätig? Massgeblich ist, wo Sie Ihre Dienste erbringen oder niedergelassen sind. In welchem Sektor sind Sie tätig? NIS2 unterscheidet Sektoren mit hoher Kritikalität (Anhang I) und sonstige kritische Sektoren (Anhang II). Anhang I · **Hohe Kritikalität** Anhang II · **Sonstige kritische Sektoren** Oder Wie gross ist Ihr Unternehmen? Grundlage ist die EU-KMU-Definition: Mitarbeitende, Umsatz oder Bilanzsumme. Diese Ersteinschätzung basiert auf den Grundkriterien der Richtlinie (EU) 2022/2555 und der nationalen Umsetzungen. Sonderfälle wie grössenunabhängig erfasste Einrichtungen (z.B. Vertrauensdienste, DNS, TLD, öffentliche Kommunikationsnetze) und sektorspezifisches Recht (z.B. DORA im Finanzsektor) sind gesondert zu prüfen. Sie ersetzt keine Rechtsberatung. Fristen & Fahrplan ## NIS2 im DACH-Raum: Die Uhr läuft. Drei Länder, drei Geschwindigkeiten. Wählen Sie Ihr Land und sehen Sie, welche Fristen bereits laufen und was als Nächstes kommt. Countdown: NISG 2026 in Österreich **0**Tage **0**Std **0**Min **0**Sek 06.12.2025 NIS2-Umsetzungsgesetz in Kraft Das NIS2UmsuCG gilt ohne Übergangsfrist. Die Anforderungen sind im novellierten BSI-Gesetz verankert. Rund 29'500 Unternehmen sind betroffen. In Kraft 06.03.2026 Registrierungspflicht beim BSI Die gesetzliche Registrierungsfrist beim BSI (Portal seit 06.01.2026) ist abgelaufen. Das BSI gewährt Nachzüglern eine Kulanzfrist bis zum 31.07.2026, die verspätete Registrierung bleibt aber bussgeldbewehrt. Nachfrist bis 31.07.2026 Laufend Risikomanagement, Meldepflichten, Nachweise Die Massnahmen nach Art. 21 und die dreistufige Meldepflicht (24h, 72h, 1 Monat) gelten. Die Aufsicht kann Nachweise verlangen, die Leitungsebene haftet für die Umsetzung. Aktiv Dezember 2028 Nachweisfrist für besonders wichtige Einrichtungen Besonders wichtige Einrichtungen müssen die Umsetzung der Risikomanagementmassnahmen innerhalb von drei Jahren nach Inkrafttreten gegenüber dem BSI nachweisen. Vorbereiten 23.12.2025 NISG 2026 kundgemacht Österreich beschliesst die NIS2-Umsetzung. Neu geschaffen wird das Bundesamt für Cybersicherheit als zentrale Behörde. Geschätzt rund 4'000 Unternehmen sind direkt betroffen. Beschlossen 01.10.2026 Inkrafttreten: Alle Pflichten gelten Risikomanagementmassnahmen, Meldepflichten und die Schulungspflicht der Leitungsorgane werden verbindlich. Das bisherige NISG 2018 tritt ausser Kraft. Stichtag 31.12.2026 Registrierungsfrist Wesentliche und wichtige Einrichtungen müssen sich beim Bundesamt für Cybersicherheit registriert haben. Die Einstufung erfolgt per Selbsteinschätzung, das Konzernprivileg entfällt. 30.09.2027 Selbstdeklaration Binnen zwölf Monaten nach Eintritt der Registrierungspflicht ist eine strukturierte Selbstdeklaration einzureichen: umgesetzte Massnahmen, Ergebnisse der Risikoanalyse, Lieferkettensicherheit. 01.10.2028 Behördliche Prüfungen möglich Ab zwei Jahren nach Inkrafttreten kann die Cybersicherheitsbehörde die Vorlage von Nachweisen verlangen und Prüfungen durch unabhängige Stellen anordnen, bei wichtigen Einrichtungen anlassbezogen. Vorbereiten 01.04.2025 Meldepflicht nach ISG Cyberangriffe auf kritische Infrastrukturen müssen innerhalb von 24 Stunden dem Bundesamt für Cybersicherheit (BACS) gemeldet werden. Die Schweiz geht damit einen eigenen, NIS2-ähnlichen Weg. In Kraft Laufend NIS2 wirkt über die Lieferkette Schweizer Unternehmen mit EU-Kunden oder EU-Niederlassungen erhalten NIS2-Anforderungen indirekt: über Sicherheitsfragebögen, Vertragsklauseln und Nachweispflichten ihrer betroffenen Geschäftspartner. Relevant für Exporteure & Zulieferer 16.01.2023 Richtlinie (EU) 2022/2555 in Kraft NIS2 löst die NIS-Richtlinie von 2016 ab, erweitert den Anwendungsbereich auf 18 Sektoren und verschärft Aufsicht und Sanktionen. 18.10.2024 Anwendungsbeginn Die Mitgliedstaaten hätten die Richtlinie bis zum 17.10.2024 in nationales Recht umsetzen müssen. Viele Länder folgten verspätet, die Umsetzung schreitet seither Land für Land voran. Laufend Nationale Umsetzungen und Durchführungsrechtsakte Für bestimmte digitale Dienste konkretisiert die Durchführungsverordnung der Kommission die Sicherheitsanforderungen. National unterscheiden sich Fristen, Behörden und Terminologie, was Konzerne mit mehreren EU-Standorten besonders fordert. Stand: Juli 2026. Fristen und Behördenpraxis entwickeln sich laufend weiter, massgeblich sind die jeweiligen Gesetzestexte und Behördenmitteilungen. Art. 21 Abs. 2 · Die Pflichtmassnahmen ## Zehn Massnahmen, ein System. NIS2 schreibt jeder betroffenen Einrichtung zehn Mindestmassnahmen vor, von der Risikoanalyse bis zur Multi-Faktor-Authentifizierung. Klicken Sie sich durch: Was die Richtlinie verlangt und wie Sie es in der SwissGRC® Plattform umsetzen. Art. 23 · Meldepflicht bei erheblichen Vorfällen Drei Fristen, die Sie im Ernstfall treffen müssen. 24h Frühwarnung Unverzüglich nach Kenntnis: Erstmeldung an die zuständige Behörde bzw. das CSIRT, inklusive Verdacht auf rechtswidrige Handlung oder grenzüberschreitende Auswirkungen. 72h Meldung Strukturierte Bewertung des Vorfalls: Schweregrad, Auswirkungen und, soweit verfügbar, Kompromittierungsindikatoren. 1 Monat Abschlussbericht Ausführliche Beschreibung von Vorfall, Ursachen und ergriffenen Abhilfemassnahmen. Auf Ersuchen zusätzlich Zwischenberichte. FAQ ## Häufige Fragen Die Fragen, die uns Unternehmen bei der Einführung ihrer NIS2-Lösung am häufigsten stellen. Direkt und ohne Umwege beantwortet. Grundsätzlich mittlere und grosse Unternehmen (ab 50 Mitarbeitenden oder über 10 Mio. EUR Umsatz) in den **18 Sektoren der Anhänge I und II**, von Energie über Gesundheit bis zum verarbeitenden Gewerbe. Einzelne Dienste wie DNS, TLD oder Vertrauensdienste sind grössenunabhängig erfasst, und über die Lieferkettenpflicht erreichen die Anforderungen auch nicht direkt regulierte Zulieferer. Die schnellste Orientierung gibt Ihnen der Betroffenheits-Check oben auf dieser Seite. Erhebliche Vorfälle sind dreistufig zu melden (Art. 23): **Frühwarnung innerhalb von 24 Stunden**, ausführliche Meldung innerhalb von 72 Stunden und ein Abschlussbericht spätestens einen Monat nach der Frühwarnung. In der SwissGRC® Plattform hinterlegen Sie den Meldeprozess als Workflow mit Fristen, Verantwortlichen und Vorlagen, damit im Ernstfall niemand überlegen muss, wer was bis wann meldet. Schneller, als die meisten erwarten. Die SwissGRC® Plattform bringt **vorstrukturierte NIS2-Inhalte** mit, Sie beginnen also nicht bei null. Erste Ergebnisse wie die Bestandsaufnahme und ein priorisierter Massnahmenplan sind in wenigen Tagen sichtbar, eine typische Einführung dauert je nach Umfang und Modulen wenige Wochen. Unser Onboarding begleitet Sie dabei Schritt für Schritt. Nachweise werden **direkt an der Anforderung oder Massnahme** hinterlegt: Dokumente, Protokolle, Screenshots, Verweise. Jede Version bleibt erhalten, jede Änderung wird mit Nutzer und Zeitstempel protokolliert. So entsteht ein lückenloser, revisionssicherer Audit Trail. Wenn die Aufsicht oder ein Prüfer Nachweise verlangt, exportieren Sie den Stand auf Knopfdruck, statt Ordner und Postfächer zu durchsuchen. Die Lizenzierung ist **modular und transparent**: Sie zahlen für die Module, die Sie einsetzen, abgestimmt auf Ihre Organisationsgrösse. Es gibt keine versteckten Kosten, keine Pflicht zum Vollausbau. Weil der Zuschnitt je nach Ausgangslage unterschiedlich ist, erstellen wir Ihnen nach einem kurzen Gespräch ein konkretes Angebot. [Sales kontaktieren](https://swissgrc.com/vertrieb/) Grundlagen zur Richtlinie selbst, etwa Sektoren, Sanktionen und Fristen, finden Sie oben im Betroffenheits-Check und im Fahrplan. ## NIS2 nicht nur umsetzen. Nachweisen. Sehen Sie, wie Unternehmen in der DACH-Region ihre NIS2-Pflichten mit der SwissGRC® Plattform strukturieren, umsetzen und gegenüber Behörden und Prüfern belegen. [Demo anfordern](https://swissgrc.com/demo/) [Sales kontaktieren](https://swissgrc.com/sales/) ## Häufige Fragen ### Welche Unternehmen fallen unter NIS2? Grundsätzlich mittlere und grosse Unternehmen ab 50 Mitarbeitenden oder über 10 Mio. EUR Umsatz in den 18 Sektoren der Anhänge I und II. Einzelne Dienste wie DNS, TLD oder Vertrauensdienste sind grössenunabhängig erfasst. ### Welche Meldefristen gelten bei einem Sicherheitsvorfall nach NIS2? Erhebliche Vorfälle sind nach Art. 23 in drei Stufen zu melden: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden und Abschlussbericht spätestens einen Monat nach der Frühwarnung. ### Betrifft NIS2 auch Schweizer Unternehmen? Schweizer Unternehmen mit EU-Kunden oder EU-Niederlassungen erhalten NIS2-Anforderungen indirekt, etwa über Sicherheitsfragebögen, Vertragsklauseln und Nachweispflichten betroffener Geschäftspartner. Zusätzlich gilt in der Schweiz seit dem 01.04.2025 die Meldepflicht nach ISG. ### Wie lange dauert die NIS2-Einführung mit der SwissGRC® Plattform? Erste Ergebnisse wie die Bestandsaufnahme und ein priorisierter Massnahmenplan sind laut Seite in wenigen Tagen sichtbar. Eine typische Einführung dauert je nach Umfang und Modulen wenige Wochen. ### Wie wird die SwissGRC® Plattform lizenziert? Die Lizenzierung ist modular und richtet sich nach den eingesetzten Modulen und der Organisationsgrösse. Nach einem kurzen Gespräch erstellt Swiss GRC ein konkretes Angebot.